Una revisión de código reveló que el kit de desarrollo de software (SDK) de Ledger envía información de firma y metadatos de transacción a los servidores de Ledger. Los entusiastas de la privacidad descubrieron este comportamiento el martes en el SDK predeterminado que las aplicaciones de monedero utilizan para conectarse a los dispositivos hardware de Ledger. El descubrimiento sorprendió a los defensores de la privacidad cuando los hallazgos se difundieron en redes sociales.
El intercambio se ha habilitado por defecto desde la versión 1.16 del módulo de contexto, datando de mayo de 2026 o antes. Desde finales de mayo, se ha transmitido una cantidad sustancial de metadatos desde los dispositivos Ledger a los servidores de Ledger. Las aplicaciones y los usuarios deben optar por no participar en el intercambio, pero la abrumadora mayoría no lo hace. Muchos usuarios creyeron erróneamente que los monederos Ledger firmaban transacciones de forma privada y las transmitían directamente a las cadenas de bloques sin compartir también detalles personales con Ledger.
El desarrollador de Ambire, Kaloyan Kosev, también conocido como superKalo, señaló el problema ayer. Kosev dijo que los servidores de Ledger recibieron los modelos de los dispositivos de los clientes, las versiones de software y las direcciones de cadena de bloques que los usuarios pagaron o consultaron. Kosev argumentó que la privacidad debería estar activada por defecto, especialmente en Ledger.
El constructor del SDK selecciona un punto final del servidor Ledger por defecto, y la divulgación de este comportamiento fue insuficiente. El firmante basado en Ethereum envía un informe para cada solicitud de firma de transacción y firma de datos tipificados, independientemente de si el usuario solicita firma ciega.
Los desarrolladores de Ledger comprometieron el código de informe original el 26 de marzo. La versión 1.16.0 del módulo de contexto incorporó el código en el paquete en vivo en abril, con distribución a los usuarios durante abril y mayo. La versión inicial dirigió los datos compartidos a un servidor de staging de Ledger. La versión 2.1.0 cambió el destino a servidores de producción.
Ledger Donjon, el equipo interno de seguridad de Ledger, dijo el martes que las transferencias forman parte de la firma clara. Donjon dijo que los descriptores de firma clara convierten transacciones en bruto en texto legible, pero son demasiado grandes para un dispositivo. Donjon dijo que el SDK recupera los descriptores desde los servidores de Ledger para mejorar el rendimiento. Donjon dijo que encontrar el descriptor adecuado requiere transmitir los detalles relevantes de la transacción. El equipo de seguridad de Ledger dijo que Ledger no retiene ninguno de los datos. El equipo de seguridad dijo que los monederos pueden usar su propio módulo para evitar el intercambio predeterminado.
Nicolas Bacca, cofundador de Ledger, quien se fue en 2023, le dijo al entusiasta de bitcoin Mr Hodl que es posible que la configuración predeterminada se haya pasado por alto. Mr Hodl preguntó por qué el intercambio requería que los usuarios optaran por salir, cuando nadie había optado por entrar. Bacca dijo que no sabía por qué.
La aplicación de monedero de Ledger también envía otra información a través de la infraestructura de Ledger. El módulo de bitcoin de la aplicación obtiene los historiales de cuentas y las tasas de tarifas desde un Explorador de Ledger y transmite transacciones a través de ese Explorador. La aplicación verifica el Explorador por separado para cada dirección y envía cada transacción firmada al punto final de envío del Explorador.
Ledger Live envió a la empresa de análisis Segment información sobre clics, cantidad de cuentas, nombres de activos criptográficos, tipos de dispositivos y firmware, según un informe publicado en 2023. Ledger ahora afirma que los rastreadores de personalización requieren consentimiento explícito. Una brecha de datos separada en 2020 expuso nombres, direcciones y números de teléfono de aproximadamente 272,000 clientes de Ledger. El mes pasado, software espía en dispositivos vendidos por un revendedor de Ledger aparentemente oficial pero poco confiable en Malasia drenó más de $86 millones de las víctimas.